CN115771525A - 使用二级自主传感器系统的自主车辆的跛行回家模式 - Google Patents

Abstract

一种用于自主车辆的自主驾驶系统，包括用于感知与自主车辆的操作和周围环境相关的数据的多个车载自主传感器，以及与多个车载自主传感器进行电子通信的自动驾驶控制器。自动驾驶控制器被指示用于接收提示表明多个车载自主传感器中的一个或多个功能失效且包括一个或多个替换传感器的二级自主传感器系统安装在自主车辆上。自动驾驶控制器被指示根据安全检查来验证二级自主传感器系统，并在一个或多个替换传感器和多个车载自主传感器之间进行冗余检验。响应于根据冗余检验来确定一个或多个替换传感器是有效的，自动驾驶控制器在跛行回家模式下操作自主车辆。

Description

使用二级自主传感器系统的自主车辆的跛行回家模式

技术领域

本公开涉及一种采用二级自主传感器系统的自主车辆。更具体地，本公开涉及一种在跛行回家模式下运行的自主车辆，该跛行回家模式在采用二级自主传感器系统时限制自主车辆的一个或多个自主驾驶特征。

背景技术

使用各种车载技术和传感器，自主车辆在有限或无人为干预的情况下从起点行驶到预定目的地。自主车辆包括多种自主传感器，例如但不限于摄像头、声波传感器、雷达、激光雷达、全球定位系统(GPS)和用于探测车辆外部环境和状态的惯性测量装置(IMU)。车辆的车载控制器根据用户输入的目的地，结合各种自主传感器收集的信息，确定合适的行驶路线。

如果一个或多个自主传感器失效，或车辆的硬件出现了某些故障，自主系统可能无法再引导车辆到达车辆用户指定的目的地。应了解的是，尽管自主系统已经无法发挥功能，但自主车辆的方向盘或传动系等其他部件仍可运行。也就是说，驱动自主车辆的电机和传动系统部件仍能正常使用，然而，控制自主运行的系统无法引导车辆。在一种方法中，可以采用冗余自主传感器来缓解这一问题，然而，冗余部件会极大地增加自主车辆的成本。

因此，虽然目前的自主车辆实现了其预期目的，但本领域需要一种改进的系统，允许自主车辆在一个或多个自主传感器失效时能够继续行驶。

发明内容

根据几个方面，公开了一种用于自主车辆的自主驾驶系统。该自主驾驶系统包括用于感知与自主车辆运行和周围环境相关的数据的多个车载自主传感器，以及与该多个车载自主传感器进行电子通信的自动驾驶控制器。自动驾驶控制器被指示用于提示表明接收多个车载自主传感器中的一个或多个失效且包括一个或多个替换传感器的二级自主传感器系统安装在自主车辆上。自动驾驶控制器被指示用于根据在安全检查来验证二级自主传感器系统。自动驾驶控制器进一步被指示用于在一个或多个替换传感器和多个车载自主传感器之间进行冗余检验。自动驾驶控制器根据冗余检验来确定从一个或多个替换传感器接收的数据是有效的。最后，响应于根据冗余检验来确定从该一个或多个替换传感器接收的数据是有效的，自动驾驶控制器在跛行回家模式下操作自主车辆。

在一方面，跛行回家模式限制自主车辆的一个或多个自主驾驶特征。

在另一方面，该一个或多个自主驾驶特征至少包括以下一项：自主车辆的速度、允许自主车辆行驶的特定道路、预定目的地和特定驾驶操作。

在又一方面，自主驾驶系统还包括插座，该插座与二级自主传感器系统的相应插头电连接。

在另一方面，多个车载自主传感器包括以下一个或多个：一个或多个摄像头、雷达、惯性测量装置(IMU)、全球定位系统(GPS)和激光雷达。

在一方面，自动驾驶控制器被指示用于确定与自主车辆用户输入的原始预定目的地不同的更新的预定目的地。

在另一方面，更新的预定目的地是维修场所。

在又一方面，安全检查表明自动驾驶控制器上连接了数量和类型正确的替换传感器。

在另一方面，自动驾驶控制器被指示用于：响应于确定二级自主传感器系统已通过安全检查，执行确定自动驾驶控制器所需的缺失传感器数据的数据同步。

在一方面，数据同步还包括自动驾驶控制器与二级自主传感器系统的二级控制器之间的时间和位置同步。

在另一方面，冗余检验包括计算二级自主传感器系统的一个或多个替换传感器与自主车辆上仍正常运行的多个车载自主传感器之间的误差。

在又一方面，基于并行方法、集中式方法或混合方法将二级自主传感器系统的一个或多个替换传感器收集的数据与多个车载自主传感器收集的数据进行整合。

在另一方面，并行方法涉及二级自主传感器系统的二级控制器和自动驾驶控制器彼此独立地执行各自的感知算法，然后将结果合并在一起。

在一方面，集中式方法涉及二级自主传感器系统的二级控制器将一个或多个替换传感器生成的原始数据直接发送给自动驾驶控制器。

在另一方面，自动驾驶控制器根据一个或多个替换传感器生成的原始数据执行感知算法。

在又一方面，混合方法涉及二级自主传感器系统的二级控制器和自动驾驶控制器在执行感知算法时共享数据，然后将结果合并在一起。

在一方面，公开了一种用于自主车辆的自主驾驶系统，该系统包括用于感知与自主车辆运行和周围环境相关的数据的多个车载自主传感器，以及与多个车载自主传感器进行电子通信的自动驾驶控制器。自动驾驶控制器被指示用于接收提示表明多个车载自主传感器中的一个或多个失效且包括一个或多个替换传感器的二级自主传感器系统安装在自主车辆上。自动驾驶控制器被指示用于根据安全检查来验证二级自主传感器系统，其中安全检查表明自动驾驶控制器上连接了数量和类型正确的替换传感器。响应于确定二级自主传感器系统已通过安全检查，自动驾驶控制器执行确定自动驾驶控制器所需的缺失传感器数据的数据同步。自动驾驶控制器被指示用于在一个或多个替换传感器和多个车载自主传感器之间进行冗余检验，其中冗余检验包括计算二级自主传感器系统的一个或多个替换传感器与自主车辆上仍能正常运行的多个车载自主传感器之间的误差。自动驾驶控制器根据冗余检验来确定从一个或多个替换传感器接收的数据是有效的。最后，响应根据冗余检验来确定从该一个或多个替换传感器接收的数据是有效的，自动驾驶控制器在跛行回家模式下操作自主车辆，其中跛行回家模式限制了一个或多个自主驾驶特征。

在一方面，该一个或多个自主驾驶特征至少包括以下一项：自主车辆的速度、允许自主车辆行驶的特定道路、预定目的地和特定驾驶操作。

在另一方面，自主驾驶系统还包括插座，该插座与二级自主传感器系统的相应插头电连接。

在又一方面，公开了一种由处理电路读取并存储指令的非瞬时计算机可读存储介质，其中，存储指令在被处理电路执行时实施方法操作。该方法包括接收提示表明多个车载自主传感器中的一个或多个失效且包括一个或多个替换传感器的二级自主传感器系统安装在自主车辆上。该方法还包括根据安全检查来验证二级自主传感器系统，其中安全检查表明自动驾驶控制器上连接了数量和类型正确的替换传感器。响应于确定二级自主传感器系统已通过安全检查，方法包括执行确定自动驾驶控制器所需的缺失传感器数据的数据同步。该方法还包括在一个或多个替换传感器和多个车载自主传感器之间进行冗余检验。该方法包括根据冗余检验来确定从一个或多个替换传感器接收的数据是有效的。响应于根据冗余检验来确定从该一个或多个替换传感器接收的数据是有效的，该方法包括在跛行回家模式下操作自主车辆，其中跛行回家模式限制了一个或多个自主驾驶特征。

根据本文所提供的说明书，进一步的适用领域将变得显而易见。应当理解的是，说明书和具体示例仅用于说明目的，并不旨在限制本公开的范围。

附图说明

本文描述的附图仅用于说明目的，并不旨在以任何方式限制本公开的范围。

图1是根据本公开示例性实施例的一种自主车辆的示意图，该自主车辆包括自动驾驶控制器、多个车载自主传感器和用于容纳二级自主传感器系统的插座；

图2是根据本公开示例性实施例的二级自主传感器系统的示意图，该二级自主传感器系统与自主车辆的插座连接；

图3是根据本公开示例性实施例的自主车辆的自动驾驶控制器的示意图，该自动驾驶控制器与二级自主传感器系统的二级控制器进行电子通信；

图4是根据本公开示例性实施例的一种用于在跛行回家模式下操作自主车辆的方法的流程图；以及

图5是根据本公开示例性实施例的一种计算机程序产品，该计算机程序产品包括一个或多个存储介质。

具体实施方式

以下描述本质上仅是示例性的，并不旨在限制本公开、应用或用途。

参考图1，示出了一种自主车辆10。该自主车辆10可以是任何类型的车辆，例如但不限于轿车，卡车，运动型多功能车，面包车，或房车。在一个非限制性实施例中，自主车辆10是完全自主车辆，包括执行所有驾驶任务的自动驾驶系统(ADS)。或者，在另一个实施例中，自主车辆10是半自主车辆，包括协助驾驶员转向、刹车和/或加速的高级驾驶辅助系统(ADAS)。自主车辆10具有包括自动驾驶控制器20的自主驾驶系统12。该自动驾驶控制器20与多个车载自主传感器22、多个车辆系统24和插座26进行电子通信。插座26与二级自主传感器系统30的相应插头74电连接(如图2所示)。

如下所述，二级自主传感器系统30包括一个或多个替换传感器32(图2)，用于在一个或多个车载自主传感器22功能失效且无法向自动驾驶控制器20发送准确数据的情况下，恢复自主车辆10的自主驾驶能力。同样如下所述，当采用二级自主传感器系统30时，自主车辆10在跛行回家模式下运行。跛行回家模式可能会限制自主车辆10的一个或多个自主驾驶特征，直到车主到达维修场所。

自动驾驶控制器20确定自主车辆10如感知、规划、定位、测绘和控制的自主驾驶特征。虽然图1示出了自动驾驶控制器20是单个控制器，但应当理解的是，还可包括多个控制器。在图1所示的示例中，多个车载自主传感器22包括一个或多个摄像头38、雷达40、惯性测量装置(IMU)42、全球定位系统(GPS)44和激光雷达46，然而，应当理解的是，还可使用其他传感器。

多个车载自主传感器22感知与自主车辆10运行和周围环境有关的数据，这些数据被发送到自动驾驶控制器20。具体地，摄像头38分别检测各自视场(FOV)内的静态和动态障碍物。静态和动态障碍物的一些示例包括其他车辆、行人、道路标志、交通灯、车道标记和栅栏。在一个实施例中，摄像头38可位于自主车辆10的前侧50、后侧52和相对两侧54，其中每个摄像头38捕捉到的多张照片拼接在一起，形成周围环境的360度全景。雷达40和激光雷达46都可用于探测物体和与物体有关的距离，以及确定物体的速度和位置，然而，激光雷达可用于探测相对较小的物体，而雷达可在能见度有限的情况下使用，如阴天或雾天。IMU42和GPS 44均可用于直接测量车辆状态。具体地，IMU 44可用于确定角旋转速率、加速度和航向，而GPS 44可用于确定位置、速度和时间。

多个车辆系统24包括但不限于制动系统60、转向系统62、传动系统64和悬挂系统66。自动驾驶控制器20将车辆控制命令发送给多个车辆系统24，从而引导自主车辆10到达预定目的地。例如，自主车辆10的用户可以使用与自动驾驶控制器20进行电子通信的输入设备68输入预定目的地。在一个实施例中，输入设备68可以是键盘。

图2是由无人机(UAV)70运送到自主车辆10的二级自主传感器系统30的示意图。应当理解的是，作为自主车辆10一部分的车载自主传感器22(如图1所示)中有一个或多个传感器功能失效。然而，还应理解的是，并非所有的车载自主传感器22都是功能失效的。由于车载自主传感器22中有一个或多个传感器功能失效，一个或多个替换传感器32提供更换数据，以恢复自主车辆10的自主驾驶能力。例如，如果作为多个车载自主传感器22(图1)一部分的摄像头38中有一个摄像头发生故障，则替换传感器32提供视觉数据。虽然图2示出了由UAV70运送的二级自主传感器系统30，但应理解的是，图2本质上仅是示例性的。事实上，也可通过其他途径将二级自主传感器系统30运送到自主车辆10。例如，在另一实施例中，二级自主传感器系统30是由汽车运送的。

二级自主传感器系统30包括与自主车辆10的插座26电连接的插头74。因此，数据可以在自主车辆10的自动驾驶控制器20(如图1所示)和二级自主传感器系统30的二级控制器80(如图3所示)之间共享。在如图2所示的示例中，插座26设置在自主车辆10的车顶72上，然而，应当理解的是，图2本质上仅是示例性的。插座26可位于自主车辆10内任何区域，以使所需的一个或多个替换传感器32可见。例如，如果替换传感器32是摄像头38，其可沿着自主车辆10的前侧50捕捉数据，那么插座26可沿自主车辆10的前格栅设置。此外，在一些实施例中，插座26可位于自主车辆10的车厢内。

图3是与自主车辆10的自动驾驶控制器20进行电子通信的二级自主传感器系统30的一个或多个替换传感器32的示意图。二级自主传感器系统30包括二级控制器80和将二级控制器80与自主车辆10的自动驾驶控制器20电连接的通信硬件和软件82。二级控制器80与一个或多个替换传感器32进行电子通信。在一个实施例中，二级控制器80包括安全模块84、同步模块86、感知模块88、定位模块90和自诊断模块92。

继续参考图3，自动驾驶控制器20包括安全模块100、同步模块102、感知模块104、定位模块106和诊断模块108。自动驾驶控制器20被指示用于接收提示表明多个车载自主传感器22中的一个或多个功能失效且包括一个或多个替换传感器32的二级自主传感器系统30安装在自主车辆10上以恢复自主驾驶能力。

一旦二级自主传感器系统30安装完毕并通电后，自主车辆10的自动驾驶控制器20执行安全检查来验证二级自主传感器系统30。具体地，安全检查表明自主车辆10的自动驾驶控制器20上连接了数量和类型正确的替换传感器。安全检查还确保自主车辆10未与欺诈性传感器组连接。例如，在一个实施例中，二级控制器80的安全模块84和自动驾驶控制器20的安全模块100均可从后台管理系统接收单独的安全码。如果安全码相互匹配，这就确保了自主车辆10内无欺诈性传感器组。如果二级自主传感器系统30未通过安全检查，则可重复进行安全检查，或者可替代地采取纠正措施。

响应于确定二级自主传感器系统30已通过了安全检查，二级自主传感器系统30的二级控制器80与自动驾驶控制器20然后执行数据同步。数据同步确定自动驾驶控制器20所需的缺失传感器数据。也就是说，数据同步确定自主车辆10的哪些车载自主传感器22是功能失效的，然后指示二级控制器80发送缺失传感器数据，否则，这些缺失传感器数据将由功能失效的车载自主传感器22收集。例如，如果IMU 42功能失效，自主车辆10的自动驾驶控制器20的同步模块102就会发送一条信息，表明需要从二级自主传感器系统30的二级控制器80的同步模块86获取IMU数据。此外，数据同步还确认了在自动驾驶控制器20和二级控制器80之间交换的缺失传感器数据的格式。

数据同步进一步包括自动驾驶控制器20和二级控制器80之间的时间和位置同步。具体地，数据同步包括将自主车辆10的自动驾驶控制器20所包含的时钟与自主传感器系统30的二级控制器80所包含的时钟进行同步。例如，在一个实施例中，时钟同步可能涉及使用全局计时器来确保自动驾驶控制器20和二级控制器80的时钟产生相同的时间戳。二级控制器80的同步模块86确定相对于插座26的参考坐标，并将该参考坐标发送到自动驾驶控制器20的同步模块102。

一旦安全检查和数据同步完成，二级控制器80的感知模块88就启动环境感知任务，如车道检测、物体检测等。二级控制器80的定位模块90启动对汽车状态的测量，并对自主车辆10进行定位。在一个实施例中，感知模块88将被检测物体相关的时间戳和置信度发送给自诊断模块92，并且定位模块90将反馈信号发送给二级控制器80的自诊断模块92。反馈信号表示在闭环算法中发现的反馈信号。然后，自诊断模块92执行诊断算法，以确定从二级控制器80的感知模块88和定位模块90接收到的数据的准确性。如果自诊断模块92确定从感知模块88和定位模块90接收到的数据达到最低准确性水平，则将该数据传输到自主车辆10的自动驾驶控制器20。

在一个实施例中，一旦二级自主传感器系统30安装在自主车辆10上，自主车辆10的自动驾驶控制器20就会确定与自主车辆10的用户输入的原始预定目的地不同的更新的预定目的地。例如，更新的预定目的地可以是，例如，维修场所或用户的家。例如，如果用户最初选择的预定目的地是用户住家或住所，那么在一个实施例中，更新的预定位置可能是维修场所。

一旦安装了二级自主传感器系统30，自动驾驶控制器20还在一个或多个替换传感器32和多个车载自主传感器22之间进行冗余检验。冗余检验确定从一个或多个替换传感器32接收的数据是有效的。具体地，如果数据不包括故障或不准确的信息，则从一个或多个替换传感器32接收的数据是有效的。如果一个或多个替换传感器32无法验证，则二级自主传感器系统30的二级控制器80可以重复安全检查和数据同步。

自动驾驶控制器20的诊断模块108通过计算二级自主传感器系统30的一个或多个替换传感器32与自主车辆10上仍能正常运行的多个车载自主传感器22之间的误差来进行冗余检验。响应于确定误差落入预定范围内，自动驾驶控制器20的诊断模块108确定一个或多个替换传感器32是有效的。预定范围确保一个或多个替换传感器32在可接受的范围内收集数据。例如，自主车辆10的摄像头38和二级自主传感器系统30的一个或多个替换传感器32检测到物体，自动驾驶控制器20和二级控制器80均对物体的大小、位置和距离进行计算。如果自动驾驶控制器20和二级控制器80计算出的物体大小、位置和距离之间的误差落入预定范围内，则二级自主传感器系统30的摄像头38通过冗余检验。

响应于确定一个或多个替换传感器32通过冗余检验，自动驾驶控制器20在跛行回家模式下运行。跛行回家模式限制了自主车辆10的一个或多个自主驾驶特征。在一个实施例中，受限制的一个或多个自主驾驶特征包括自主车辆的速度、允许自主车辆行驶的特定道路、预定目的地、特定驾驶操作、与其他车辆的距离和加速度。例如，自主车辆10的速度可能被限制在最高速度，或者自主车辆10可能无法执行特定驾驶操作，如在高速公路的高速车道上行驶。在一个实施例中，自动驾驶控制器20向周围的车辆和物体广播一条消息，提示自主车辆10正在跛行回家模式下运行。

当在跛行回家模式下运行时，二级控制器80持续工作，将传感器数据传输给自主车辆10的自动驾驶控制器20。基于并行方法、集中式方法或混合方法将二级自主传感器系统30的一个或多个替换传感器32收集的传感器数据与多个车载自主传感器22收集的数据进行整合。并行方法涉及二级控制器80的感知模块88和自动驾驶控制器20的感知模块104彼此独立地执行各自的感知算法，然后将结果合并在一起。集中式方法涉及二级控制器80将一个或多个替换传感器32生成的原始数据直接发送到自动驾驶控制器20的感知模块104。然后，自动驾驶控制器20的感知模块104根据一个或多个替换传感器32生成的原始数据执行感知算法。混合方法涉及二级控制器80的感知模块88和自动驾驶控制器20的感知模块104在执行感知算法的同时共享数据，然后将结果合并在一起。在一个实施例中，根据替换传感器32的类型和/或验证替换传感器32的结果选择数据整合方法(即并行方法、集中式方法或混合方法)。

应了解的是，跛行回家模式包括其自身的规划和控制算法。具体地，基于设置的限制和二级传感器特征(如准确性)的信息，专用于跛行回家模式的规划算法为自主车辆10的自主驾驶计算新的路径和操作决策。根据所规划的操作、新路径和二级传感器信息，自动驾驶控制器20计算致动器指令，如跛行回家模式下的推进扭矩或转向角。

图4是在跛行回家模式下操作自主车辆的方法200的流程图。参考图3和图4，方法200可从方框202开始。在方框202，将二级自主传感器系统30安装在自主车辆10上。然后，方法200可进行至方框204。

在方框204，自主车辆10的自动驾驶控制器20确定更新的预定目的地。例如，在一个实施例中，更新的预定目的地是维修场所。然后，方法200可进行至方框206。

在方框206，自动驾驶控制器20在一个或多个替换传感器32和多个车载自主传感器22之间进行冗余检验，以确认从一个或多个替换传感器32接收的数据是有效的。具体地，方法然后进行至方框206A。在方框206A，自动驾驶控制器20的诊断模块108计算二级自主传感器系统30的一个或多个替换传感器32与仍能正常运行的多个自主传感器22之间的误差。然后，方法200进行至决策方框206B。

在决策方框206B，如果误差不在预定范围内，则方法200可进行至方框206C，其中，跛行回家模式未启动。然后，方法200可终止，或者采取纠正措施。

返回决策方框206B，如果误差在预定范围内，则方法200可进行至方框208。

在方框208，响应于根据冗余检验来确定一个或多个替换传感器32是有效的，自动驾驶控制器20在跛行回家模式下操作自主车辆。如上所述，跛行回家模式限制了一个或多个自主驾驶特征，例如，自主车辆的速度，或预定的目的地。然后，方法200可进行至方框210。

在方框210，自动驾驶控制器20对规划和控制操作设定了新限制。具体地，跛行回家模式限制了一个或多个自主驾驶特征，如自主车辆10的速度或特定驾驶操作。然后，方法200可进行至方框212。

在方框212，自动驾驶控制器20向周围的车辆和物体广播一条消息，提示自主车辆10正在跛行回家模式下运行。然后，方法200可进行至方框214。

在方框214中，二级控制器80持续运行，将传感器数据传输给自主车辆10的自动驾驶控制器20，直到自主车辆10到达更新的预定目的地。然后，方法200可进行至方框216。

在决策方框216，如果自主车辆10还未到达更新的预定目的地，方法200则返回方框206，再次进行冗余检验。如果自主车辆10已经到达更新的预定目的地，方法200进行至方框218，此时自主车辆10停止。例如，自主车辆可能已经到达维修场所。方法200可以结束。

现在参考图5，计算机程序产品300包括一个或多个非瞬时计算机可读存储介质302。存储介质302上存储有计算机可读程序代码或逻辑304，以提供并促进本文所述实施例的一个或多个方面。程序代码或逻辑是使用编译器或汇编器创建的，例如，执行汇编时实现实施例的各个方面的指令。当程序代码创建并存储在有形介质上时，被称为计算机可读介质。计算机可读介质的一些示例包括但不限于电子存储模块(RAM)、闪存和光盘(CDs)。计算机程序产品介质可由计算机系统中的处理电路读取，以便由处理电路执行。

从总体上看，参考附图，自主车辆和二级自主传感器系统具有多种技术效果和优势。具体地，二级自主传感器系统提供了一种方法，使自主车辆即使在一个或多个车载自主传感器功能失效的情况下也可以运行，无需提供冗余传感器，从而避免增加成本。相比之下，当前传统自主车辆系统在一个或多个自主传感器功能失效时，车辆需停下并拖到维修场所。此外，所公开的自主驾驶系统提供了一种跛行回家模式，使得自主车辆能够在有限的能力下运行，直至行驶到维修场所。

控制器可以是电子电路、组合逻辑电路、现场可编程门阵列(FPGA)、执行代码的处理器(共享、专用或组)、上述元件中的一部分、或上述部分或全部元件的组合，如在片上系统中。此外，控制器可以是基于微处理器的控制器，例如具有至少一个处理器、存储器(RAM和/或ROM)以及相关的输入和输出总线的计算机。处理器可以在驻留在内存中的操作系统的控制下运行。操作系统可以管理计算机资源，因此，作为一个或多个计算机软件应用程序(如驻留在内存中的应用程序)的计算机程序代码可以具有由处理器执行的指令。在一个可替代实施例中，处理器可以直接执行应用程序，在这种情况下，可省略操作系统。

本公开的描述本质上仅仅是示例性的，并且不脱离本公开主旨的变化皆应落入本公开的范围内。这种变化不应视为背离了本公开的精神和范围。

Claims (10)

1.一种用于自主车辆的自主驾驶系统，所述自主驾驶系统包括：

多个车载自主传感器，用于感知与自主车辆运行和周围环境相关的数据；以及

自动驾驶控制器，与所述多个车载自主传感器进行电子通信，其中所述自动驾驶控制器被指示用于：

接收提示表明所述多个车载自主传感器中的一个或多个功能失效且包括一个或多个替换传感器的二级自主传感器系统安装在所述自主车辆上；

根据安全检查来验证所述二级自主传感器系统；

在所述一个或多个替换传感器和所述多个车载自主传感器之间进行冗余检验；

根据所述冗余检验来确定从所述一个或多个替换传感器接收的数据是有效的；以及

响应于根据所述冗余检验来确定从所述一个或多个替换传感器接收的数据是有效的，在跛行回家模式下操作所述自主车辆。

2.根据权利要求1所述的自主驾驶系统，其中，所述跛行回家模式限制了所述自主车辆的一个或多个自主驾驶特征。

3.根据权利要求2所述的自主驾驶系统，其中，所述一个或多个自主驾驶特征至少包括以下一项：所述自主车辆的速度、允许所述自主车辆行驶的特定道路、预定目的地和特定驾驶操作。

4.根据权利要求1所述的自主驾驶系统，还包括：

与所述二级自主传感器系统的相应插头电连接的插座。

5.根据权利要求1所述的自主驾驶系统，其中，所述多个车载自主传感器包括以下一个或多个：一个或多个摄像头、雷达、惯性测量装置(IMU)、全球定位系统(GPS)和激光雷达。

6.根据权利要求1所述的自主驾驶系统，其中，所述自动驾驶控制器被指示用于：

确定与所述自主车辆的用户输入的原始预定目的地不同的更新的预定目的地。

7.根据权利要求6所述的自主驾驶系统，其中，所述更新的预定目的地是维修场所。

8.根据权利要求1所述的自主驾驶系统，其中，所述安全检查表明所述自动驾驶控制器上连接了数量和类型正确的替换传感器。

9.根据权利要求1所述的自主驾驶系统，其中，所述自动驾驶控制器被指示用于：

响应于确定所述二级自主传感器系统已通过安全检查，执行用于确定所述自动驾驶控制器所需的缺失传感器数据的数据同步。

10.根据权利要求9所述的自主驾驶系统，其中，所述数据同步还包括所述自动驾驶控制器与所述二级自主传感器系统的二级控制器之间的时间和位置同步。

Images